개정 개인정보 보호법에서 대부분의 회사에 당장 걸리는 조항은 하나, 유출 통지 기준입니다. 매출 10% 과징금과 CPO 이사회 의결은 조건이 따로 붙어 있어 해당하는 사업자가 한정됩니다. 이 법은 2026년 3월 10일 공포돼 2026년 9월 11일부터 시행령·고시와 함께 적용되고 있으며, 아래 내용은 2026년 9월 기준입니다.
우리 회사는 어디에 해당하나
조문을 다 읽기 전에 결론부터 가르면 이렇습니다. 개인정보를 다루는 서비스라면 규모와 상관없이 첫 줄이 적용되고, 나머지 줄은 조건에 맞는 곳만 봅니다.
| 상황 | 9월 11일부터 적용되는 것 |
|---|---|
| 개인정보를 처리하는 모든 사업자 | 유출 가능성 단계에서 72시간 이내 통지·신고. 위조·변조·훼손도 대상 |
| 고의·중과실로 3년 내 위반을 반복했거나, 고의·중과실로 1,000만 명 이상 피해를 냈거나, 시정명령 불이행으로 유출 사고가 난 사업자 | 과징금 상한이 전체 매출액의 3%에서 10%로 |
| 연 매출 1,800억 원 초과 + 100만 명 이상 개인정보 처리, 재학생 2만 명 이상 대학, 상급종합병원, 공공시스템운영기관 | CPO 지정·변경·해제 시 이사회 의결 후 신고 (계도기간 2027년 12월 31일까지) |
| 중요 개인정보처리자 | ISMS-P 인증 의무는 2027년 7월 1일로 유예. 지금은 적용 안 됨 |
| 영세·중소기업의 경미한 위반 | 과징금 면제 근거 신설 |
회사에서 시스템을 개발·운영하는 쪽이라면 표의 첫 줄이 곧 실무입니다. 유출을 “확인한 뒤” 보고하도록 짜여 있는 내부 절차가 있다면 그 부분이 이번 개정과 정면으로 어긋납니다.
유출 통지 72시간, 시계는 언제 돌기 시작하나
개정 전에는 유출 사실이 확정된 뒤에 통지·신고 의무가 생겼습니다. 지금은 불법 접근 흔적이나 불법 거래 정황처럼 객관적 근거로 유출 가능성이 높다고 판단되는 시점부터 의무가 시작되고, 그 사실을 안 때부터 72시간 이내에 통지와 신고를 마쳐야 합니다. 사고가 실제로 일어난 시각이 아니라 처리자가 인지한 시각이 기준입니다.
흔히 잘못 아는 부분이 하나 있습니다. 취약점을 발견한 것만으로는 신고 의무가 생기지 않습니다. 신고 대상은 아래 셋 중 하나에 해당할 때입니다.
- 유출 규모가 1천 명 이상인 경우
- 민감정보나 고유식별정보가 포함된 경우
- 해킹 등 외부의 불법적인 접근으로 유출된 경우
‘유출 등’의 범위에는 기존 분실·도난·유출에 위조·변조·훼손이 추가됐습니다. 데이터가 밖으로 나가지 않았더라도 내부에서 훼손됐다면 같은 절차를 밟습니다. 외부 반출만 감시하는 모니터링 체계라면 탐지 항목을 넓혀야 합니다.
72시간은 영업일이 아니라 시간으로 셉니다. 금요일 저녁에 인지했다면 월요일 저녁이 한계라는 뜻이라, 주말과 연휴에도 판단하고 통지문을 내보낼 담당자와 결재 경로를 미리 정해 두지 않으면 시간 안에 못 맞춥니다.
과징금 10%는 세 경우에만 붙는다
“이제 사고 나면 매출 10%를 낸다”는 말이 돌지만 원문은 그렇지 않습니다. 전체 매출액의 10% 이내라는 상한은 아래 세 경우 중 하나에 해당할 때만 적용되고, 그 밖의 일반적인 위반은 종전 기준이 그대로입니다.
| 구분 | 내용 |
|---|---|
| 반복 위반 | 최근 3년간 고의 또는 중과실로 위반행위를 반복한 경우 |
| 대규모 피해 | 고의 또는 중과실로 1,000만 명 이상의 피해를 낸 경우 |
| 시정명령 불이행 | 시정명령을 이행하지 않아 유출 등 사고가 발생한 경우 |
바뀐 것은 기준이 아니라 비율입니다. 과징금을 전체 매출액 기준으로 매기는 것은 이미 종전 제도(전체 매출액의 3% 이하)에서도 같았고, 이번 개정은 위 세 경우에 한해 상한을 10%로 올리는 특례를 둔 것입니다. 계산해 보면 연 매출 1,000억 원 회사의 과징금 상한은 일반 위반이면 30억 원, 세 조건 중 하나에 걸리면 100억 원입니다. 실제 부과액은 위반 정도와 감경 사유를 따져 이 상한 안에서 정해집니다.
반대로 미리 투자한 회사에는 감경 장치가 있습니다. 개인정보 보호에 예산·인력·설비를 사전에 투자하고 운영해 왔다면 과징금을 반드시 감경하도록 규정했습니다. 다만 고의나 중과실이 인정되면 이 감경은 적용되지 않습니다. 영세·중소기업의 경미한 위반을 면제할 수 있는 근거도 함께 들어갔습니다.
CPO 신고와 ISMS-P, 급한 것과 급하지 않은 것
CPO 조항은 대상이 좁습니다. 연 매출 1,800억 원을 넘으면서 100만 명 이상의 개인정보를 처리하는 사업자, 재학생 2만 명 이상 대학, 상급종합병원, 공공시스템운영기관이 개인정보 보호책임자를 지정·변경·해제할 때 이사회 의결을 거친 뒤 개인정보위에 신고해야 합니다. 신고는 개인정보 포털의 기업·공공 서비스 메뉴에서 합니다.
다만 이 조항에는 2027년 12월 31일까지 계도기간이 붙어 있어, 그 사이 미지정·자격 미비·신고 지연에는 과태료를 부과하지 않습니다. 시행은 됐지만 벌칙이 유보된 상태라는 뜻입니다. 이사회 안건을 올리는 데 시간이 걸리는 회사라면 계도기간 안에 의결과 신고를 끝내면 됩니다.
ISMS-P 인증 의무화는 사정이 다릅니다. 중요 개인정보처리자에게 인증을 의무화하는 조항은 9월 11일에 시행되지 않았고, 예산 확보 기간을 고려해 2027년 7월 1일로 미뤄졌습니다. 유예된 것은 이 인증 의무 하나뿐이고, 유출 통지·과징금·CPO 조항은 이미 적용 중입니다. 그래서 회사에서 개정 대응 순서를 잡는다면 유출 판단 기준과 72시간 절차가 첫째, CPO 신고가 둘째, ISMS-P 준비가 셋째입니다.
유출 통지 문자를 받은 개인이 할 일
회사가 아닌 이용자 입장에서 체감되는 변화는 통지가 오는 시점입니다. 확정 전 단계에서 통지가 나가므로 “유출 가능성이 있다”는 안내를 받게 되고, 나중에 유출이 아니었다고 정리될 수도 있습니다. 통지에는 유출된 항목과 시점, 처리자의 대응 내용, 문의처가 들어갑니다.
통지를 받으면 그 서비스의 비밀번호를 바꾸고, 같은 비밀번호를 쓰는 다른 계정도 함께 바꾸는 것이 기본입니다. 문자나 메일에 들어 있는 링크를 바로 누르지 말고 해당 서비스에 직접 접속해 공지를 확인하는 편이 안전합니다. 유출 사고 직후에는 통지를 사칭한 피싱이 늘어납니다.
가족이 쇼핑몰·배달·교육 앱 계정을 나눠 쓰는 집이면, 통지를 받은 사람이 누구인지와 상관없이 가족이 같은 비밀번호를 돌려 쓰고 있는지부터 확인하는 편이 낫습니다. 개정법은 유출 통지에 손해배상 청구와 분쟁조정 신청 같은 피해구제 방법도 함께 적도록 했으므로, 피해가 확인되면 통지문에 적힌 경로를 따르면 됩니다.
조문 원문은 국가법령정보센터에서, 유출 신고 절차는 개인정보보호위원회 유출신고제도 안내에서 확인할 수 있습니다. 시행령·고시는 개정될 수 있으므로 실무 적용 전에는 최신 조문을 다시 봐야 합니다.
참고한 자료
국가법령정보센터, 「개인정보 보호법」 조문 (2026-09-28 확인) — 원문
개인정보보호위원회·정책브리핑, 「개인정보 유출시 ‘최대 매출 10% 과징금’…CEO·CPO 책임 강화」 (2026-03-09) — 원문
개인정보보호위원회, 「개인정보 유출 등 신고제도」 안내 (2026-09-28 확인) — 원문
관련 글: 모바일 신분증 발급 방법과 수수료